Defense in depth, hotmodellering, penetrationstester och mer - lär dig vad IEC 62443-4-1 kräver av utvecklingsprocessen. Denna artikel sammanfattar huvudkoncepten, kraven och hur standarden relaterar till andra regleringar.
Koncept och struktur för IEC 62443-4-1
IEC 62443-4-1 baseras på konceptet "security by design". Målet är att integrera cybersäkerhet från första början i alla utvecklingsfaser - från kravanalys genom design och implementering till testning, release och underhåll.
Standardens krav grupperas i åtta huvudpraxis
- Säkerhetshantering (Security Management)
- Specifikation av säkerhetskrav (Specification of Security Requirements)
- Säker design (Secure Design)
- Säker implementering (Secure Implementation)
- Säkerhetsverifiering och validering (Security Verification and Validation)
- Hantering av säkerhetsrelaterade frågor (Management of Security-Related Issues)
- Hantering av säkerhetsuppdateringar (Security Update Management)
- Säkerhetsriktlinjer (Security Guidelines)
Var och en av dessa praxis innehåller flera detaljerade krav som beskriver processer och aktiviteter för säker produktutveckling.
Defence in depth
Ett centralt koncept i IEC 62443-4-1 är "Defence in Depth" (försvar på djupet). Denna princip kräver implementering av flera lager av säkerhet för att skydda ett system. Idén är att om en säkerhetsåtgärd misslyckas eller kringgås, finns det ytterligare skyddslager kvar.
I praktiken betyder detta att utvecklare inte bör förlita sig på en enda säkerhetsåtgärd utan kombinera olika mekanismer över olika systemlager. Exempel inkluderar nätverkssegmentering, åtkomstkontroll, kryptering och loggning.
Mognadsnivå
IEC 62443-4-1 introducerar konceptet mognadsnivåer. Dessa beskriver hur väl en organisation implementerar standardens krav. Det finns fyra nivåer
- Initial: Processer är ad hoc och ofta odokumenterade.
- Hanterad: Processer är dokumenterade och tillämpas konsekvent.
- Definierad: Processer är standardiserade och tillämpas över hela organisationen.
- Förbättrande: Processer förbättras kontinuerligt baserat på mätvärden och feedback.
Dessa nivåer tillåter företag att mäta sina framsteg i implementering av en säker utvecklingsprocess och att förbättra steg för steg.
I kontexten av certifieringar under IEC 62443-4-1 bedöms och anges dessa mognadsnivåer på certifikat.
Krav för IEC 62443-4-1
IEC 62443-4-1 organiserar krav i de åtta praxis som listats ovan
Säkerhetshantering (Security Management)
Denna praxis utgör grunden för hela den säkra utvecklingsprocessen. Den inkluderar etablering och underhåll av en övergripande säkerhetshanteringsansats inom organisationen. Detta täcker definition av roller och ansvar för säkerhetsuppgifter, säkerställande av tillräcklig säkerhetsexpertis i teamet, fastställande av säkerhetspolicyer och processer, och kontinuerlig förbättring av dessa processer. Skyddandet av utvecklingsmiljön själv och säker hantering av kryptografiskt material faller också under detta område.
Specifikation av säkerhetskrav (Specification of Security Requirements)
Denna praxis fokuserar på att definiera tydliga och omfattande säkerhetskrav för produkten som ska utvecklas. Den inkluderar skapande av en hotmodell som identifierar potentiella attacker och sårbarheter, samt definition av säkerhetskontexten där produkten kommer att användas. Baserat på detta formuleras specifika säkerhetskrav som produkten måste uppfylla. Dessa krav genomgår grundlig granskning för att säkerställa fullständighet och genomförbarhet.
Säker design (Secure Design)
Denna praxis handlar om att tillämpa säkerhetsprinciper i produktdesign. Ett nyckelkoncept är "defense in depth"-strategin som tillhandahåller flera skyddslager. Designen måste beakta alla produktgränssnitt och definiera säkerhetsaspekter för varje gränssnitt som åtkomstkontroll och datavalidering. Regelbundna säkerhetsgranskningar av designen hjälper till att säkerställa att alla säkerhetskrav är korrekt implementerade och att inga nya sårbarheter introduceras.
Säker implementering (Secure Implementation)
Denna praxis handlar om att säkert omvandla designen till kod. Den inkluderar definition och tillämpning av säkra kodningsstandarder som undviker kända sårbarheter och osäkra praxis. Regelbundna kodgranskningar och användning av statiska kodanalysverktyg är avsedda att säkerställa att dessa riktlinjer följs och att inga säkerhetsbrister finns i koden.
Säkerhetsverifiering och validering (Security Verification and Validation)
Denna praxis syftar till att verifiera effektiviteten av implementerade säkerhetsåtgärder. Den inkluderar olika typer av säkerhetstester, som funktionella tester av säkerhetskrav, tester för att verifiera hotbekämpning, sårbarhetstestning och penetrationstester. En viktig aspekt är oberoendet av testare från utvecklare för att säkerställa en objektiv bedömning.
Hantering av säkerhetsrelaterade frågor (Management of Security-Related Issues)
Denna praxis etablerar processer för hantering av säkerhetsproblem som upptäcks under utveckling eller efter produktlansering. Den inkluderar förfaranden för att ta emot och spåra säkerhetsrapporter, bedöma och prioritera säkerhetsproblem, och utveckla och leverera korrigeringar. Ansvarigt avslöjande av säkerhetsproblem till användare är också en del av denna praxis.
Hantering av säkerhetsuppdateringar (Security Update Management)
Denna praxis fokuserar på säker hantering av produktuppdateringar. Den inkluderar processer för att kvalificera säkerhetsuppdateringar för att säkerställa att de löser avsedda problem och inte introducerar nya problem. Säker leverans av uppdateringar till användare och dokumentation av ändringar täcks också. Snabb tillhandahållande av kritiska säkerhetsuppdateringar är en viktig aspekt.
Säkerhetsriktlinjer (Security Guidelines)
Den slutliga praxis handlar om att skapa omfattande säkerhetsdokumentation för produktanvändare. Dessa material, som manualer, bör möjliggöra säker integration, konfiguration, drift och underhåll av produkten. De inkluderar information om säker installation, systemhärdning, användar- och kontohantering, och säker avveckling av produkten. Regelbundna granskningar säkerställer att dessa riktlinjer förblir uppdaterade och kompletta.
När de kartläggs i en logisk översikt kan kraven för de individuella praxis representeras enligt följande
Innehåll i IEC 62443-4-1
Förhållande med IEC 62443-4-2
Medan IEC 62443-4-1 beskriver processen för säker utveckling, definierar IEC 62443-4-2 de konkreta tekniska säkerhetskraven för IACS-komponenter. De två standarderna kompletterar varandra
- IEC 62443-4-1 specificerar hur produkter bör utvecklas säkert.
- IEC 62443-4-2 specificerar vilka säkerhetsfunktioner produkterna måste tillhandahålla slutligen.
En produkt utvecklad enligt IEC 62443-4-1 bör kunna uppfylla kraven från IEC 62443-4-2. Processerna från IEC 62443-4-1 säkerställer att de tekniska kraven från IEC 62443-4-2 implementeras och testas systematiskt.
Förhållande mellan IEC 62443-4-1 och Cyber Resilience Act
IEC 62443-4-1 spelar en central roll vid implementering av europeiska Cyber Resilience Act (CRA). Medan CRA sätter breda krav för cybersäkerheten för produkter med digitala element, tillhandahåller IEC 62443-4-1 ett detaljerat ramverk för en säker produktutvecklingslivscykel.
De processrelaterade kraven från CRA täcks i stor utsträckning av IEC 62443-4-1, eftersom standarden adresserar aspekter som säkerhetshantering, kravanalys, säker design och implementering, samt hantering av sårbarheter och uppdateringar. Även om IEC 62443-4-1 inte uttryckligen kräver en Software Bill of Materials (SBOM), leder dess konsekventa tillämpning ofta till insamling av informationen som behövs för en SBOM.
För CRA:s tekniska krav är IEC 62443-4-1 ensam inte tillräcklig och måste kompletteras av andra standarder som ETSI EN 303 645 och EN 18031 för att täcka alla aspekter. Sammantaget ger IEC 62443-4-1 en solid grund för företag att uppfylla CRA:s processrelaterade krav och för att följa en strukturerad ansats för att utveckla cybersäkra produkter.
Mer om detta finns i vår artikel IEC 62443 som grund för implementering av Cyber Resilience Act.
Mallar för implementering av IEC 62443-4-1
Implementering av en säker utvecklingslivscykel enligt IEC 62443-4-1 kan underlättas avsevärt genom användning av lämpliga mallar. Sådana mallar ger en strukturerad grund för olika aspekter av säkerhetshantering, från kravanalys till sårbarhetshantering. De kan hjälpa företag att spara tid och resurser genom att tillhandahålla bästa praxis och strukturer. Det är dock viktigt att hitta rätt balans mellan standardiserade mallar och företagsspecifika anpassningar. För en detaljerad översikt över tillgängliga mallpaket, deras för- och nackdelar, och rekommendationer för val och användning, se vår djupgående artikel "IEC 62443-4-1 mallar en marknadsöversikt och vårt erbjudande".
Slutsats
IEC 62443-4-1 erbjuder ett omfattande ramverk för att utveckla säkra produkter. Genom att konsekvent tillämpa kraven och uppnå högre mognadsnivåer kan tillverkare avsevärt förbättra och visa säkerheten hos sina produkter. Tillsammans med IEC 62443-4-2 utgör IEC 62443-4-1 en solid grund för att utveckla produkter som uppfyller de ökande kraven inom industrin.